Android反编译-小米桌面逆向过程记录

title Android反编译-小米桌面逆向过程记录
date 2017-02-09 14:57:05
tags [Android,反编译,安全]
categories Android

本文中提到的方法,思路以及资料,仅供学习交流。

场景介绍

分析小米桌面的起因,是由于负责的两个项目,都有在桌面创建快捷方式的需求,两份功能代码基本完全一致,可是,在一款MI3,系统基于6.0.1的MIUI7的手机上,A产品可以正常申请权限,创建快捷方式,B产品却不可以。在测试过程中发现,如果把B产品包名修改一下,创建快捷方式的功能就是正常的。由此我们怀疑,在创建快捷方式控制的地方,我们的B产品被拉进了黑名单,不要问我为什么会被拉黑,因为我是无辜的。大致场景就是这个样子。

创建快捷方式的流程

关于桌面快捷方式,不了解的可以参考下 eclipse_xuAndroid快捷方式解密这篇文章,详细介绍了如何创建快捷方式,创建快捷方式的几种方法。项目已经开源ShortcutHelper,可以参考。

无论使用何种方法,创建的这个操作,都是通过下面这段代码完成的。

public static final String ACTION_ADD_SHORTCUT = "com.android.launcher.action.INSTALL_SHORTCUT";
public static void addShortcut(Context context, Intent actionIntent, String name,                                   boolean allowRepeat, Bitmap iconBitmap) {
    Intent addShortcutIntent = new Intent(ACTION_ADD_SHORTCUT);
    // 是否允许重复创建
    addShortcutIntent.putExtra("duplicate", allowRepeat);
    // 快捷方式的标题
    addShortcutIntent.putExtra(Intent.EXTRA_SHORTCUT_NAME, name);
    // 快捷方式的图标
    addShortcutIntent.putExtra(Intent.EXTRA_SHORTCUT_ICON, iconBitmap);
    // 快捷方式的动作
    addShortcutIntent.putExtra(Intent.EXTRA_SHORTCUT_INTENT, actionIntent);
    context.sendBroadcast(addShortcutIntent);
}

通过发送广播,交给广播接收者,根据发送者提供的信息,创建快捷方式。

同样是上面的代码,产品A和产品B执行的结果不一样,影响因素只可能是产品的包名了。

验证创建失败原因

为了确认产品A和B是由于包名不一致,导致快捷方式创建的结果不同,做了如下测试。

测试内容 测试结果
A包名修改为B 不可以
B包名改为A 可以
A包名改为C 可以
ShortCutHelperDemo 可以
ShortCutHelperDemo 改为B 不可以

上面的表格,可以猜测出来,肯定和包名有关。具体有什么关系,要找到 ACTION_ADD_SHORTCUT 这个Action的接收者,也就是MIUIHome,拿到其中代码,才能知道。

寻找MIUIHome.APK

小米的桌面负责创建快捷方式,但我们发现,应用市场上并不能找到最新版或者是MIUI7上的小米桌面App,作为系统级App,小米是没有上线其他市场的。

找一款root的小米手机,到 system/priv-app 目录下,找到 miuihome.apk。然后使用 adb pull 命令,导出到电脑上。

adb pull system/priv-app/MiuiHome/MiuiHome.apk ~/Desktop/

反编译apk

反编译apk的一般过程,这里就不再赘述,可以参考之前的文章跟着小强学Android反编译

解压之后傻眼了啊,根本没有 dex 文件

没有dex,java 代码在哪里执行的呢?总不能全部都直接做在ROM里面吧?从网上下载一个MIUI7的ROM,解压之后也没有发现对应的JAVA代码,第三方APP中之后一个smartHome.apk,看着有点关系(其实没有一点卵用,这个是弯路)。

还是回到手机的目录中,逐个查找。

闪现的odex

在 system/priv-app/MiuiHome 目录下,同时还有个 oat 文件夹,这个里面放置的是一个odex文件。关于 odex 介绍

odex是同名apk经系统优化后的dex文件,原生ROM中apk和odex文件是配对的,对应的apk文件中没有了dex(比正常可安装的apk小)。
这样的好处:
1.加快程序的装载与运行
2.防止系统程序的简单复制,针对不同的ROM,odex文件是变化的,不可混用的,否则程序就不能政策运行。与odex配对的apk文件又因为缺少dex无法单独安装和使用。
3.节省data分区资源(这个我的理解是原始apk解压需要占用data分区资源,odex可直接执行)

参考Android apk dex与odex

拿到了odex,我们开始反编译 odex。

反编译 odex

工具很重要
反编译odex 需要用到的工具
baksmali.jar
smali.jar
dex2jar.jar
jd-gui

以上工具,建议大家使用最新的稳定版本,我就是因为使用了老版本,导致逆向的时候遇到了很多莫名的错误。

odex的逆向,主要使用 baksmali.jar 的 de 命令。

java -jar baksmali.jar de miuihome.odex 

如果成功,会生成 out 目录,里面是 smali 代码。历史的经验告诉我们,往往不会这么顺利。

Error occurred while loading class path files. Aborting.
org.jf.dexlib2.analysis.ClassPathResolver$ResolveException: org.jf.dexlib2.analysis.ClassPathResolver$NotFoundException: Could not find classpath entry boot.oat
    at org.jf.dexlib2.analysis.ClassPathResolver.<init>(ClassPathResolver.java:136)
    at org.jf.dexlib2.analysis.ClassPathResolver.<init>(ClassPathResolver.java:106)
    at org.jf.baksmali.AnalysisArguments.loadClassPathForDexFile(AnalysisArguments.java:134)
    at org.jf.baksmali.AnalysisArguments.loadClassPathForDexFile(AnalysisArguments.java:91)
    at org.jf.baksmali.DisassembleCommand.getOptions(DisassembleCommand.java:204)
    at org.jf.baksmali.DeodexCommand.getOptions(DeodexCommand.java:71)
    at org.jf.baksmali.DisassembleCommand.run(DisassembleCommand.java:178)
    at org.jf.baksmali.Main.main(Main.java:102)
Caused by: org.jf.dexlib2.analysis.ClassPathResolver$NotFoundException: Could not find classpath entry boot.oat
    at org.jf.dexlib2.analysis.ClassPathResolver.loadLocalOrDeviceBootClassPathEntry(ClassPathResolver.java:207)
    at org.jf.dexlib2.analysis.ClassPathResolver.<init>(ClassPathResolver.java:121)
    ... 7 more

缺少依赖的 boot.oat
在系统 system/framework/arm 里,导出 boot.oat,再次执行上面的命令,可以看到 out 目录中已经有内容。

smali-->dex

java -jar smali.jar a out -o miuihome.dex

在当前目录下,就会生成一个 miuihome.dex

dex-->jar

java -jar dex2jar.jar miuihome.dex 

在当前目录下,会生成一个 miuihome.jar,这个就是我们反编译得到的jar文件。使用 jd-gui 可以打开浏览这个jar

MiuiHome 目录结构

寻找关键点

在 MiuiHome.apk 的 Androidmanifest 中,我们可以确认,快捷方式 Action的接收者是 com.miui.home.launcher.InstallShortcutReceiver 我们要寻找的第一个关键点就是这个类。

public class InstallShortcutReceiver
  extends BroadcastReceiver
{
  public static final HashSet<String> lb = new HashSet();
  
  static
  {
    //这个包名对应的是 Google Play
    lb.add("com.android.vending");
  }
  
  private void c(Context paramContext, Intent paramIntent)
  {
    LauncherApplication localLauncherApplication = Application.f(paramContext);
    Launcher localLauncher = localLauncherApplication.fJ();
    if ((localLauncher == null) || (!localLauncher.fq()))
    {
      Log.e("InstallShortcutReceiver", "Launcher is not ready,process later");
      return;
    }
    //这个是具体的创建逻辑
    localLauncher.runOnUiThread(new bD(this, localLauncherApplication, localLauncher, paramIntent, paramContext));
  }
  
  public void onReceive(Context paramContext, Intent paramIntent)
  {
    //这个获取的是包名,Android官方是没有这个方法,小米自己扩展的。
    String str = paramIntent.getSender();
    if ((!"com.android.launcher.action.INSTALL_SHORTCUT".equals(paramIntent.getAction())) || (lb.contains(str))) {
      return;
    }
    //这里可以接着分析
    new bC(this, str, paramContext, paramIntent).start();
  }
}

有两个比较关键的注释,已经在代码里了。小米有一套黑名单这样的机制,阻止这些APP 在桌面创建快捷方式,黑名单的主要判断依据,就是包名。

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 151,829评论 1 331
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 64,603评论 1 273
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 101,846评论 0 226
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 42,600评论 0 191
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 50,780评论 3 272
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 39,695评论 1 192
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 31,136评论 2 293
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 29,862评论 0 182
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 33,453评论 0 229
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 29,942评论 2 233
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 31,347评论 1 242
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 27,790评论 2 236
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 32,293评论 3 221
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 25,839评论 0 8
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 26,448评论 0 181
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 34,564评论 2 249
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 34,623评论 2 249

推荐阅读更多精彩内容

  • Android 自定义View的各种姿势1 Activity的显示之ViewRootImpl详解 Activity...
    passiontim阅读 170,472评论 25 707
  • 我已经有一周多没有更新自己的文章了,因为不知道写什么,也不知道是否要继续写下去。这一周我在干嘛呢?我将自己泡在《奇...
    Be_Jessica阅读 526评论 0 4
  • 不难,所以不废话,直接上代码 attrs文件 背景文件是单纯的白色和紫红色,就不上传了 xml文件中的使用 效果
    lipeiyan阅读 3,744评论 2 2
  • 昨天听到一首老歌电话情思,很美好的意境。 很想很想给你打个电话,问问远方的朋友现在还好吗? 顺便问问你的爸爸妈妈,...
    雨珊gracechang阅读 832评论 0 1
  • 看到一篇文章里说,很多抑郁症患者在抑郁之前其实已经患了焦虑症。 看到这句话,就像被困在黑暗的山洞却突然看见一束光照...
    阿拾初阅读 602评论 2 4